Założyciel Binance, Changpeng Zhao, ostrzegł użytkowników kryptowalut, aby zachowali szczególną ostrożność podczas odwiedzania stron internetowych w nadchodzących dniach, po odkryciu dwóch krytycznych luk w zabezpieczeniach PHP, języka programowania używanego przez miliony stron internetowych na całym świecie.
Podsumowanie
- Założyciel Binance, Changpeng Zhao, wezwał użytkowników kryptowalut do ostrożności podczas odwiedzania stron internetowych po odkryciu dwóch krytycznych luk w zabezpieczeniach PHP.
- Luki te mogą pozwolić atakującym na wykonanie złośliwego kodu na zainfekowanych serwerach, w tym tych obsługujących popularne platformy, takie jak WordPress i Magento.
- Twórcy PHP wydali awaryjne poprawki bezpieczeństwa 21 października po tym, jak szczegóły luk wyciekły przed planowanym ujawnieniem.
- Badacze bezpieczeństwa wykryli próby wykorzystania luk, chociaż żadne potwierdzone incydenty dotyczące giełd kryptowalut lub portfeli użytkowników nie zostały bezpośrednio powiązane z tymi wadami.
W ostrzeżeniu z 22 października Zhao wskazał na dwie luki w zabezpieczeniach zidentyfikowane jako CVE-2026-109618 i CVE-2026-109619, które mogą pozwolić atakującym na wykonanie złośliwego kodu na podatnych serwerach internetowych bez wymagania uwierzytelnienia.
„Nazywajcie mnie paranoikiem, ale bądźcie szczególnie ostrożni, odwiedzając JAKĄKOLWIEK stronę internetową w najbliższych dniach” — napisał Zhao, wyjaśniając, że niektórzy administratorzy stron internetowych mogli nie zainstalować najnowszych poprawek bezpieczeństwa.
Luki te dotyczą instalacji PHP obsługujących popularne platformy do zarządzania treścią i handlu elektronicznego, w tym WordPress, Magento, Drupal i Joomla. Skuteczne wykorzystanie luki może pozwolić atakującym na przejęcie infrastruktury strony internetowej, dostęp do wrażliwych informacji lub modyfikację treści wyświetlanych odwiedzającym.
Chociaż ostrzeżenie Zhao było skierowane do użytkowników stron internetowych, podstawowe luki dotyczą serwerów i nie oznaczają, że odwiedzenie jakiejkolwiek strony internetowej opartej na PHP automatycznie kompromituje urządzenie danej osoby lub portfel kryptowalut.
Luki w PHP pozwalają atakującym na zdalne wykonanie kodu
Zgodnie z ujawnieniem bezpieczeństwa Fundacji PHP, obie luki otrzymały oceny ważności 9,2 na 10 i dotyczą słabości w systemach zarządzania pamięcią i obsługi błędów tego języka programowania.
Pierwsza luka, CVE-2026-109618, dotyczy uszkodzenia pamięci, gdy PHP osiąga skonfigurowany limit pamięci podczas określonych operacji. W określonych warunkach serwer może nieprawidłowo przetwarzać częściowo zainicjowane dane, pozwalając atakującemu na wykonanie nieautoryzowanego kodu.
Tymczasem CVE-2026-109619 dotyczy wewnętrznych odwołań do pamięci, które pozostają dostępne po zwolnieniu powiązanej pamięci. Badacze wykazali, że atakujący mogą wykorzystać tę słabość do wykonania kodu przeciwko aplikacjom działającym na zainfekowanych serwerach.
Fundacja potwierdziła, że wykorzystanie było możliwe w domyślnych konfiguracjach serwerów Apache używających mod_php, podczas gdy badacze wykazali dodatkowe ścieżki ataku z udziałem PHP-FPM.
Po ujawnieniu twórcy wydali załatane wersje PHP 8.2.35, 8.3.36, 8.4.27 i 8.5.12 21 października.
Oficjalne ostrzeżenie PHP wezwało administratorów do natychmiastowej aktualizacji, ostrzegając, że tymczasowe zabezpieczenia nie mogą całkowicie wyeliminować ryzyka.
Starsze instalacje PHP pozostają problemem, ponieważ wersje spoza obsługiwanych gałęzi projektu mogą polegać na poprawkach bezpieczeństwa dostarczanych osobno przez dostawców hostingu lub dostawców oprogramowania.
Wydano awaryjne poprawki
Szczegóły dotyczące luk zaczęły krążyć, zanim zespół ds. bezpieczeństwa PHP zakończył planowany proces ujawniania.
Według fundacji dwa identyfikatory podatności pojawiły się na forach internetowych i w mediach społecznościowych 20 października, wraz z nieprawidłową oceną ważności wynoszącą 10,0 oraz niedokładnym harmonogramem wydania.
Chociaż początkowy wyciek nie zawierał technicznych instrukcji wykorzystania, firma bezpieczeństwa Calif następnie omyłkowo opublikowała wideo proof of concept, demonstrujące ataki na kilka celów.
Kopie krążyły nadal po usunięciu oryginalnego wideo, co skłoniło badaczy do opracowania dodatkowych demonstracji wykorzystania.
Zespół PHP następnie przesunął zaplanowane wydanie bezpieczeństwa z 22 października na 21 października, dając dystrybutorom oprogramowania czas na przygotowanie aktualizacji, jednocześnie skracając okres, w którym informacje techniczne mogły krążyć bez dostępnych poprawek.
Fundacja osobno skrytykowała dostawcę bezpieczeństwa Chainguard za opublikowanie załatanych obrazów oprogramowania ponad sześć godzin przed skoordynowanym wydaniem, co potencjalnie mogło pozwolić atakującym na zbadanie zmian przed publicznym ujawnieniem.
Firma bezpieczeństwa Cloudflare wdrożyła zabezpieczenia zapory ogniowej przed upublicznieniem podatności, współpracując z badaczami z OpenAI, Wiz i innych organizacji zaangażowanych w ujawnienie.
Cloudflare poinformowała, że podatności, zbiorczo nazwane PHP2Shell, mogą narazić dotknięte serwery na zdalne wykonanie kodu, zakłócenie usług i ujawnienie poufnych danych.
Czy użytkownicy kryptowalut są zagrożeni przez przejęte strony internetowe?
Ostrzeżenie Zhao pojawia się w czasie, gdy użytkownicy kryptowalut nadal stają w obliczu kampanii phishingowych opierających się na fałszywych stronach internetowych i zwodniczych prośbach o dane uwierzytelniające do portfeli.
W zeszłym tygodniu crypto.news poinformowało, że fałszywe strony internetowe Ledger pojawiły się w wynikach wyszukiwania Google, a atakujący próbowali zbierać frazy odzyskiwania portfeli za pośrednictwem stron podszywających się pod legalne oprogramowanie.
W innym incydencie atakujący wykorzystali e-maile phishingowe Trezor i przejętą infrastrukturę stron trzecich do rozsyłania fałszywych komunikatów bezpieczeństwa do klientów kryptowalut.
Jednak przejęty serwer PHP mógłby potencjalnie pozwolić atakującym na zmianę treści strony internetowej lub wprowadzenie fałszywych żądań logowania i połączenia z portfelem, w zależności od uzyskanego dostępu.
Na czas publikacji nie było potwierdzonych doniesień o incydentach bezpieczeństwa dotyczących giełd kryptowalut lub portfeli użytkowników bezpośrednio związanych z nowo ujawnionymi podatnościami PHP.
Kanadyjskie Centrum Cyberbezpieczeństwa wezwało organizacje obsługujące aplikacje PHP dostępne z internetu do zidentyfikowania podatnych instalacji i natychmiastowego zastosowania dostępnych aktualizacji bezpieczeństwa.
